CERT/CC, Thelia 2.6.0 ve 2.6.1'deki yamalanmamış uzaktan kod yürütme açıklarını ayrıntılandırdı

CERT/CC, 12 Ekim 2026 tarihli ve dev.to üzerinde özetlenen bir danışma belgesi yayımlayarak, açık kaynak bir PHP e-ticaret platformu olan Thelia 2.6.0 ve 2.6.1'deki, web sunucusunda uzaktan kod yürütmeyle sonuçlanabilen bir güvenlik açığı kümesini açıkladı. Danışma belgesi sorunlara on bir CVE atıyor, genel önem derecesini kritik olarak değerlendiriyor ve henüz bir üretici düzeltmesi yayınlanmadığını belirtiyor. Japonya'nın JVN kuruluşu ilgili bilgi kaynakları arasında listeleniyor.

Kod yürütmeye giden dört yol

Kod yürütme yollarının çoğu, saldırganın önceden Thelia yöneticisi veya sınırlı yönetici ayrıcalıklarına sahip olmasını gerektiriyor. CERT/CC bunları şu şekilde grupluyor.

Dosya yüklemeleri ve modül kurulumu: yönetici erişimine sahip bir saldırgan, belge güncelleme veya banner yükleme özellikleri üzerinden web tarafından çalıştırılabilir bir konuma PHP dosyası yerleştirebilir ya da kötü niyetli PHP içeren bir modül ZIP arşivi yükleyebilir. Yüklenen dosyanın web üzerinden talep edilmesi veya modül kurulumunun tamamlanması, kodu web sunucusu ayrıcalıklarıyla çalıştırır.

Smarty e-posta şablonları: mesaj yapılandırma ekranı, bir yöneticinin e-posta şablonunun içine bir Smarty ifadesi depolamasına izin veriyor. Bu şablon önizlendiğinde veya görüntülendiğinde, system(), exec() veya file_put_contents() gibi kısıtlamaya tabi olmayan fonksiyonlar web süreci içinde çalışıyor.

Çeviri editörü: admin.configuration.language UPDATE iznine sahip bir kullanıcı, item_name parametresinde nokta-nokta-eğik çizgi dizileri vererek yazma işlemlerini şablonlar dizininin dışındaki web erişimine açık bir yola yönlendirebiliyor. Çeviri değerlerinde ters eğik çizgiler için düzgün kaçış (escape) yapılmadığından, saldırgan üretilen PHP dize değişmezinden çıkabilir, editörün kötü niyetli bir PHP dosyası yazmasını sağlayabilir ve ardından dosyanın URL'sini talep ederek çalıştırabilir.

Mutlak yollu SSTI: checkTemplate() içindeki doğrulama yalnızca göreli dizin geçişini engelliyor. Bunun yerine mutlak bir dosya sistemi yolu veren yetkili bir kullanıcı, Smarty'nin o dosyayı güvenlik politikaları olmadan yüklemesine ve derlemesine neden olarak şablon kodunun web sunucusu ayrıcalıklarıyla çalışmasını sağlıyor.

Hangi sürümler etkileniyor

CERT/CC'ye göre, belge yükleme sorunu (CVE-2026-103521), banner yükleme sorunu (CVE-2026-103522), e-posta şablonu açığı (CVE-2026-103528) ve modül kurulumu açığı (CVE-2026-103529) Thelia 2.6.0'ı etkiliyor. Çeviri editörü açığı (CVE-2026-103535) ve mutlak yollu Smarty SSTI (CVE-2026-103537) ise 2.6.1'i etkiliyor. Danışma belgesi, sürüm ve ayrıcalık ön koşulları ayrı ayrı belgelerin kendisinden doğrulanması gereken beş ek tanımlayıcı (CVE-2026-103523, CVE-2026-103524, CVE-2026-103526, CVE-2026-103527 ve CVE-2026-107248) daha listeliyor.

Her şey oturum açmayı gerektirmiyor: CERT/CC, kullanıcı adı saymanın (enumeration) ve bazı tarayıcıya yönelik saldırıların kimlik doğrulaması olmadan başlatılabildiğini belirtiyor; daha kapsamlı danışma belgesi ise açık yönlendirmeler ve ürün sayfalarındaki depolanmış siteler arası betikleme gibi sorunları da kapsıyor.

Önerilen azaltım adımları

Yama bulunmadığından, rehberlik maruziyeti azaltmaya odaklanıyor:

• Yönetim arayüzünü açık internetten uzak tutun; VPN, IP izin listesi ve çok faktörlü kimlik doğrulamanın arkasında tutun.
• Belge, banner, modül, şablon ve çeviri yönetimi izinlerini kısıtlayın veya geri çekin.
• Kullanıcıların veya yöneticilerin yazabildiği dizinlerde PHP yürütmeyi devre dışı bırakın ve MIME türlerini, dosya uzantılarını ve dosya içeriğini istemciye güvenmek yerine sunucuda doğrulayın.

Tespit rehberi

CERT/CC, incelediği danışma belgelerinde sahadaki aktif sömürü raporu bulunmadığını belirtiyor. Savunmacılar için olası göstergeler arasında e-posta şablonu değişiklikleri ile olağan dışı önizleme veya görüntüleme olayları, yönetici girişleri ve parola sıfırlama sayma girişimleri, belge, banner, modül ve çeviri uç noktalarına (endpoint) yapılan istekler, yeni erişilebilir hale gelen PHP URL'leri, web kök dizinlerinde değiştirilmiş PHP dosyaları, derlenmiş Smarty şablonları, modül kurulum yapıtları ve web sunucusu alt süreçleri yer alıyor. Danışma belgesi, bir saldırının başarıya ulaştığı sonucuna varmadan önce isteklerin gerçek komut yürütme kanıtlarıyla ilişkilendirilmesi gerektiğini vurguluyor — tek başına bir yükleme veya düzenleme isteği güvenliğin aşıldığının kanıtı değildir.

Neden önemli

Bunlar, e-ticaret yazılımındaki kritik ve şu anda yamalanmamış uzaktan kod yürütme yollarıdır; sömürülmeleri durumunda siparişleri, müşteri kayıtlarını, kimlik bilgilerini ve ödemeyle ilgili verileri doğrudan risk altına sokuyor. Yolların çoğu yönetici düzeyinde erişim gerektirse de, beraberindeki kimlik doğrulaması gerektirmeyen sorunlar — kullanıcı adı sayma, açık yönlendirmeler ve oturum ele geçirmeyi mümkün kılabilen depolanmış XSS — bir yönetici oturumuna giden makul basamaklar sunuyor. Üretici yaması yayınlanana kadar, hâlâ Thelia 2.6.0 veya 2.6.1 çalıştıran her kurulum için birincil savunmalar; yönetim arayüzünü yalıtmak, izinleri daraltmak ve yazılabilir dizinlerde PHP yürütmeyi engellemektir.